호주에서 제안된 개인정보 보호 개혁과 디지털 주의 의무가 챗봇의 개인정보 위험을 줄일 수 있지만, 비이용자의 정보 삭제와 사업자 관리 기준을 구체화해야 한다는 분석이 나왔다. 더컨버세이션(The Conversation)은 10월 2일 호주 규제안의 실효성을 확보하려면 챗봇 운영업체에 더 분명한 책임을 물어야 한다고 주장했다.
챗봇 대화에 제3자 정보도 유입
유고브(YouGov) 조사에 따르면 호주 성인 15%는 챗봇에 개인적인 생각이나 감정을 털어놨고, 11%는 누구에게도 말하지 않았던 내용을 공유했다. 호주 온라인안전위원장에 따르면 10~17세 아동의 54%가 개인적·사회적 조언을 얻기 위해 챗봇을 이용했으며, 3분의 1은 인생에 관한 조언을 구했다. 대화창을 사적인 공간처럼 느끼는 이용자가 늘면서 자신의 정보뿐 아니라 타인의 사정도 챗봇에 입력하는 사례가 생긴다는 설명이다.
동료가 문제 해결을 위해 이용자의 이메일을 챗GPT(ChatGPT)에 붙여넣거나, 친구가 약속을 잡으려고 메시지 화면을 올리는 식이다. 배우자가 다툼을 챗봇에 이야기하거나 부모가 자녀의 건강·재정 문제를 입력할 수도 있다. 정보 당사자가 챗봇을 사용하지 않았더라도 다른 사람의 대화에 등장하면 관련 정보가 시스템에 들어갈 수 있지만, 당사자가 이를 알아내기 어렵다는 게 분석의 핵심이다.
개인정보 삭제권과 사업자 의무
호주가 검토 중인 개인정보 개혁안은 개인정보를 공정하고 합리적으로 처리하도록 하고, 대형 디지털 플랫폼에 개인의 요청에 따른 정보 삭제권을 부여하는 내용을 담았다. 온라인안전법 개정안으로 제안된 디지털 주의 의무는 온라인 서비스가 설계·운영 과정에서 예상 가능한 위험을 평가하고 관리하도록 하는 방안이다. 두 제안은 개인정보 처리와 챗봇 설계에서 비롯되는 피해를 각각 다룰 수 있지만, 당사자가 어떤 정보가 어디에 저장됐는지 모르면 삭제권을 행사하기 어렵다는 한계가 제기됐다.
분석은 개인정보 보호를 설정 메뉴에만 맡기지 말고 대화 과정에 반영해야 한다고 제안했다. 챗봇이 이용자의 요청을 수행하는 데 불필요한 민감정보를 찾아 버리고, 저장된 정보를 이용자가 확인·삭제하기 쉽게 해야 한다는 것이다. 특정 질문에 답하려고 타인의 정보를 일시적으로 이용할 필요가 있더라도, 이를 모델 학습이나 프로파일링, 광고, 무관한 개인화에 계속 활용할 권한까지 생기는 것은 아니라고 지적했다.
삭제 요청을 계정 보유자에게만 허용해서도 안 된다는 주장도 담겼다. 계정이 없는 사람도 시스템이 보유한 정보를 확인하고 삭제를 신청할 현실적인 방법이 필요하다는 것이다. 다만 챗봇에 언급된 모든 사람에게 자동으로 알리면 가정폭력이나 강압적 통제에서 벗어나려는 사람, 내부고발자, 비밀 상담을 하는 사람에게 위험을 줄 수 있어 통지 방식도 안전하게 설계해야 한다고 분석했다.
호주 온라인안전위원장은 독립 연구자에게 서비스의 정보 탐지·보관·재사용 방식을 살펴볼 수 있도록 규칙을 마련할 수 있다는 제안도 나왔다. 분석은 이용자의 주의에만개인정보 보호를 맡기기보다 시스템을 통제하고 이익을 얻는 사업자가 위험을 관리해야 한다고 강조했다. 챗봇 이용을 금지하거나 개인적인 대화를 막기보다, 제안된 법의 세부 기준과 독립적인 검증을 통해 책임을 운영업체에 지우자는 취지다.